Необходимо сгенерировать токен-носитель Azure AD с помощью вызова C # rest.

Question

Я хочу создать токен-носитель Azure AD с помощью вызова CEST REST.Я хочу написать логику регистрации пользователя внутри вызова API.Я использую это в качестве конечной точки токена:

https://login.windows.net/[tenant-id]/oauth2/token

Я следовал той же процедуре, которая описана в этой статье.

пользовательские учетные данные, которые я использую, являются «глобальным администратором».

Но я все еще получаю ошибку «Несанкционированный».Ниже приведен фрагмент кода и тело ответа -

Код

using (HttpClient client = new HttpClient())
        {
            var tokenEndpoint = @"https://login.windows.net/<tanent-name>/oauth2/token";
            var accept = "application/json";

            client.DefaultRequestHeaders.Add("Accept", accept);
            string postBody = @"resource=https%3A%2F%2Fgraph.microsoft.com%2F
              &client_id=<client-id>
              &grant_type=password
              &username=<admin-user-name>
              &password=<admin-pass>
              &scope=openid";

            using (var response = await client.PostAsync(tokenEndpoint, new StringContent(postBody, Encoding.UTF8, "application/x-www-form-urlencoded")))
            {
                if (response.IsSuccessStatusCode)
                {
                    var jsonresult = JObject.Parse(await response.Content.ReadAsStringAsync());
                    var token = (string)jsonresult["access_token"];
                    return token;
                }
                else
                    return null;
            }
        }

Тело ответа

{ StatusCode: 401, ReasonPhrase: 'Unauthorized',
  Version: 1.1, Content: System.Net.Http.StreamContent, Headers:
{
  Pragma: no-cache
  Strict-Transport-Security: max-age=31536000; includeSubDomains
  X-Content-Type-Options: nosniff
  x-ms-request-id: cabefe46-ff73-4659-80a2-2f4136200900
  Cache-Control: no-store, no-cache
  P3P: CP="DSP CUR OTPi IND OTRi ONL FIN"
  Set-Cookie: esctx=AQABAAAAAADX8GCi6Js6SK82TsD2Pb7...
  Set-Cookie: x-ms-gateway-slice=004; path=/; secure; HttpOnly
  Set-Cookie: stsservicecookie=ests; path=/; secure; HttpOnly
  Server: Microsoft-IIS/10.0
  X-Powered-By: ASP.NET
  Date: Thu, 24 May 2018 13:43:39 GMT
  Content-Length: 457
  Content-Type: application/json; charset=utf-8
  Expires: -1
}}

PS- Также, пожалуйста, укажите, есть ли другой способ добавления нового пользователя без выполнения вызова REST.Я не хочу регистрировать пользователя в клиентском приложении.

[Обновить] Пожалуйста, найдите скриншот с добавленными разрешениями и ролями.

Answer 1

Также укажите, есть ли другой способ добавления нового пользователя без выполнения вызова REST.Я не хочу регистрировать пользователя в клиентском приложении.

Если вы хотите создать пользователя, мы могли бы использовать Microsoft.Graph , чтобы сделать это.

Перед этим нам нужно зарегистрировать приложение Azure AD .И добавьте разрешение графа Microsoft.Для получения более подробной информации мы могли бы обратиться к Create User API .

Я тестирую его с разрешением Directory.ReadWrite.All .Не забудьте Предоставить разрешения.

Демонстрационный код.

string graphResourceId = "https://graph.microsoft.com/";
string authority = "https://login.microsoftonline.com/{0}";
string tenantId = "tenant Id";
string clientId = "client Id";
string secret = "secret";
authority = String.Format(authority, tenantId);
AuthenticationContext authContext = new AuthenticationContext(authority);
var accessToken = authContext.AcquireTokenAsync(graphResourceId, new ClientCredential(clientId, secret)).Result.AccessToken;
            var graphserviceClient = new GraphServiceClient(
                new DelegateAuthenticationProvider(
                    requestMessage =>
                    {
                        requestMessage.Headers.Authorization = new AuthenticationHeaderValue("bearer", accessToken);

                        return Task.FromResult(0);
                    }));
var user = new User
         {
             UserPrincipalName = "tomaccount1@xxxxx.onmicrosoft.com",
             AccountEnabled = true,
             DisplayName = "tom1",
             PasswordProfile = new PasswordProfile
             {
                 ForceChangePasswordNextSignIn = true,
                 Password = "1234qweA!@#$%6"
             },
              MailNickname = "tomaccount1"
            };
 var addUserResult = graphserviceClient.Users.Request().AddAsync(user).Result;

Результат теста:

Проверка от Azure AD

Packages.config

<?xml version="1.0" encoding="utf-8"?>
<packages>
  <package id="Microsoft.Graph" version="1.9.0" targetFramework="net471" />
  <package id="Microsoft.Graph.Core" version="1.9.0" targetFramework="net471" />
  <package id="Microsoft.IdentityModel.Clients.ActiveDirectory" version="3.19.4" targetFramework="net471" />
  <package id="Newtonsoft.Json" version="11.0.2" targetFramework="net471" />
  <package id="System.IO" version="4.3.0" targetFramework="net471" />
  <package id="System.Net.Http" version="4.3.3" targetFramework="net471" />
  <package id="System.Runtime" version="4.3.0" targetFramework="net471" />
  <package id="System.Security.Cryptography.Algorithms" version="4.3.1" targetFramework="net471" />
  <package id="System.Security.Cryptography.Encoding" version="4.3.0" targetFramework="net471" />
  <package id="System.Security.Cryptography.Primitives" version="4.3.0" targetFramework="net471" />
  <package id="System.Security.Cryptography.X509Certificates" version="4.3.2" targetFramework="net471" />
</packages>

Answer 2

Как упоминал Том, ваша проблема может быть вызвана тем, что у пользователя нет разрешения на ваше приложение.

Поскольку вы используете поток грантов ROPC, убедитесь, что пользователь является владельцемэтого клиента / приложения AAD.

Вы можете добавить onwer к приложению AAD:

Перейти на портал Azure> Azure Acitve Directory> Регистрация приложения> Приложение> Настройки> Владельцы>Добавить владельца> Выбрать этого пользователя.

Additonal, если пользователь включил MFA, этот поток не будет работать.

Дайте мне знать, если это поможет!